Liquid 网络被利用后仍有约 4700 万美元未追回，Blockstream 正与“白帽”协商
目录
你可能想知道
谁正在与 Blockstream 协商以追回剩余资金，可能的条款是什么？
软件缺陷如何允许无抵押的 L-BTC 与储备比特币兑换？
主要议题
Blockstream，即 Liquid 侧链背后的公司，正积极洽谈以追回在近期 Liquid Network 被利用后仍未追回的约 598.5 BTC。该事件始于 Elements 衍生软件的一处漏洞允许创建无抵押的 L-BTC 代币。这些代币随后被兑换为储备比特币，使得总计近 4,000 BTC 被提领出去。
攻击者在周一归还了约 3,400 BTC，留下约 600 BTC——价值接近 4,700 万美元——尚未追回。Liquid Network 发布了事件更新，指出 Blockstream 与相关人员之间的谈判仍在进行中，目标是确保剩余资金的归还。Liquid 尚未披露谈判细节或完整追回的时间表。
根据网络开发者的说法，此次漏洞涉及交易层级的验证失败。在创建无抵押的 L-BTC 后，未知人员将资金通过 SideSwap（一名 Liquid 联盟成员，运营提领服务）转出。由于在 peg-out 开始前交易层级的检查将无抵押的代币视为有效，SideSwap 的节点以及 Liquid 全球分布的 functionary 节点接受了这些代币并允许释放储备比特币。
由于在中止操作前发生的提领与其他交易，Liquid 的储备从约 4,205 BTC 急剧下降至约 197 BTC。Liquid 也表示，由 Liquid Network 发行的 USDT 及其他资产未受此漏洞影响，虽然在网络暂停期间用户无法进行交易。
Liquid 联盟强调其 functionary 节点未被攻破且没有私钥被窃，指出授权向白名单地址提领的 peg-out 机制仍按设计运作。尽管如此，异常的验证失败使得此次利用得以持续，直到网络运作被中止并采取缓解措施为止。
事件发生时，行为者在比特币区块链上发布信息，自称是白帽安全研究人员。他们随后归还了大部分被窃的 BTC，引发社区内部的争论。一些观察者，包括 Ledger 的首席技术官 Charles Guillemet，对白帽说法表示怀疑。Guillemet 指出，因为行为者仍持有约 600 BTC，如果该余额是基于链上加密协议谈判的报酬，那更像是勒索而非负责任的通报。
作为对该漏洞的响应，Liquid 的开发者对桥接节点实施了补丁，并表示 Blockstream 正准备一个紧急软件更新，该更新在部署前将先行审查。确定后，网络运营方将应用进一步的修正以恢复正常运作，并调整网络状态以拒绝允许此次利用的无效 peg-out。
Liquid 表示，其当前的优先事项是追回剩余资金并尽快安全地恢复正常网络运作。该公司已通过其事件报告提供定期更新，并持续与联盟成员与 Blockstream 协调补救步骤。
关键信息表
| 面向 | 说明 |
|---|---|
| 关键事实 1 | Elements 软件的漏洞允许创建无抵押的 L-BTC，这些代币被兑换为储备比特币。 |
| 关键事实 2 | 攻击者归还了约 3,400 BTC，留下约 598.5 BTC（约 4,700 万美元）尚未追回，谈判仍在进行中。 |
后续...
展望未来，重建对侧链与桥接安全性的信心可能需要改进交易层级的验证、第三方审计，以及在联盟运营者之间更快速的协调事件响应。持续关注关键桥接代码的形式化验证、对异常 peg-out 的实时监控，以及在联盟成员处强化操作控制，将有助于降低类似事件的风险。 探索自动回滚机制与链上争议解决协议也可提供额外的保护层 同时保留侧链带来的互操作性优势。
在 Blockstream 与 Liquid 努力完成修复并协商回收之际，更广泛的生态系统可以从此事件中吸取教训，以强化联盟网络的最佳实践，确保更高的弹性与更明确的负责任通报激励。